البرازيل تحذر مستخدمي العملات الرقمية من حملة برمجيات خبيثة جديدة على واتساب تستخدم دودة اختطاف

المصدر: CoinEdition العنوان الأصلي: البرازيل تحذر مستخدمي العملات المشفرة من حملة برمجيات خبيثة جديدة على واتساب تستخدم دودة اختطاف الرابط الأصلي: https://coinedition.com/brazil-alerts-crypto-users-to-new-whatsapp-malware-campaign-deploying-hijacking-worm/ أطلقت السلطات البرازيلية وخبراء الأمن السيبراني تحذيراً من حملة برمجيات خبيثة تنتشر بسرعة وتستخدم رسائل واتساب لاستهداف مستخدمي العملات المشفرة من خلال اختطاف الحسابات التلقائي وبرمجية تروجان مصرفية متطورة.

حدد الباحثون في Trustwave SpiderLabs العملية المرتبطة بدودة واتساب المنتشرة إلى أداة تهديد تعرف باسم Eternidade Stealer، مما يسمح للمهاجمين بالحصول على بيانات اعتماد المصرف، وتسجيلات الدخول إلى منصات التبادل المشفرة، وغيرها من المعلومات المالية الحساسة من الأجهزة المصابة.

الباحثون يتتبعون النشاط المنسق من خلال إغراءات تعتمد على واتساب

وفقًا لبحوث فريق SpiderLabs المكون من Nathaniel Morales و John Basmayor و Nikita Kazymirskyi، تعتمد الحملة على رسائل هندسة اجتماعية تقلد إخطارات حكومية، تحديثات توصيل، مجموعات استثمار احتيالية، أو حتى جهات اتصال من الأصدقاء.

بمجرد أن يفتح الضحية الرابط الضار، يتم تثبيت كل من الدودة وبرمجية التروجان المصرفي في نفس الوقت. تقوم الدودة على الفور بالسيطرة على حساب واتساب الخاص بالضحية، وتستخرج قائمة الاتصالات، وتستبعد المجموعات أو أرقام الأعمال لإعطاء الأولوية لاستهداف فردي.

خلال هذه العملية، يسلم التروجان المصاحب حمولة Eternidade Stealer. ثم تقوم البرمجية الخبيثة بمسح النظام للبحث عن بيانات اعتماد مرتبطة بمنصات مصرفية برازيليّة، وحسابات تكنولوجيا المالية، وخدمات مرتبطة بالعملات المشفرة، بما في ذلك المحافظ والتبادلات. يجادل الباحثون بأن هذا الهيكل ذو المرحلتين أصبح أكثر شيوعًا في بيئة الجرائم الإلكترونية في البرازيل، والتي استُخدمت واتساب في حملات سابقة، مثل Water Saci، الممتدة بين 2024 و2025.

البرمجية الخبيثة تستخدم استرجاع أوامر عبر Gmail لتجنب الإيقاف

أبلغ المحققون أن البرمجية الخبيثة تتجنب الإيقافات الشبكية التقليدية باستخدام حساب Gmail مهيأ مسبقًا لتلقي الأوامر المحدثة. بدلاً من الاعتماد على خادم C2( ثابت، تقوم بتسجيل الدخول إلى عنوان البريد الإلكتروني المشفر، وتتحقق من أحدث التعليمات، وتعود إلى نطاق C2 ثابت فقط إذا كان البريد الإلكتروني غير متاح. أشار فريق SpiderLabs إلى أن هذه الطريقة تهدف إلى الحفاظ على الاستمرارية وتقليل احتمالية الكشف.

بيانات لوحة التحويل تكشف عن بصمة عالمية

خلال رسم خريطة للبنية التحتية، ربط المحللون النطاق الأولي بخادم يستضيف العديد من لوحات التهديد، بما في ذلك نظام إعادة التوجيه المستخدم لتتبع الاتصالات الواردة. من بين 453 زيارة مسجلة، تم حظر 451 منها بسبب قيود جغرافية، مما سمح فقط للبرازيل والأرجنتين.

ومع ذلك، أظهرت بيانات السجلات أن هناك 454 محاولة اتصال عبر 38 دولة، بما في ذلك الولايات المتحدة )196(، وهولندا )37(، وألمانيا )32(، والمملكة المتحدة )23(، وفرنسا )19(. وكان ثلاثة تفاعلات فقط من مصدر البرازيل.

كما سجلت اللوحة أيضًا إحصائيات لنظام التشغيل تشير إلى أن 40% من الاتصالات جاءت من أنظمة غير معروفة، تليها Windows )25%(، وmacOS )21%(، وLinux )10%(، وAndroid )4%(. وذكر المحققون أن البيانات تظهر أن معظم التفاعلات جاءت من بيئات سطح المكتب.